關于認證與云計算中安全評估的思考

　　國家標準與技術協會（NIST）最近出版了一部《云計算標準的路線圖》，其中就描述了有關國有或國家管理機構中的授權決策和云環境下的授權決策之間的基本區別。在云環境下，用戶以三種方式租賃服務：IaaS(InfrastructureasaService)基礎設施即服務，PlatformasaService(PaaS)平臺即服務，SoftwareasaService(SaaS)軟件即服務。不同于標準網絡環境提供對計算資源（如cpu、磁盤或數據）的直接可見化訪問，以上三種模式都將大大減少對所提供的服務中涵蓋資源的直接可見化訪問的程度，而現存有許多對服務進行管理和認證的既成標準，這就產生了云和標準間的沖突。

　　云中的SaaS應用將被大部分關聯在web瀏覽器或使用其他應用客戶端連接的web服務（如電子郵件）上。從這個角度看，便攜性和互通性將是云能夠成功部署的2個必須關鍵條件，這就需要統一數據格式標準和各類數據接口如果您要求各類服務能夠被順暢地遷移并且同時又能支持各種環境要求。對于e-mail郵件系統來說，這一點就顯得特別重要，因為其歸屬于聯邦局的“按需服務”云，并且有著最嚴格的電子發現（eDiscovery）和記錄管理規范需要，所以就回到了上一點云與標準間的“沖突”。

　　對于PaaS來說，其中普遍存在的多功能接口包含了軟件運行環境，并且提供了基于標準的API函數，但是也有一些明顯的問題，諸如在備份和應用時需要進行加載移植的數據格式就亟需標準化，這樣云計算與便攜性才能夠較好地進行融合。同樣的，標準數據格式和接口還需要在某種程度上充分描述好服務等級協定（SLA）和服務質量（QoS），這對于授權當局比較傳統流程與云環境的相關參數時將是必備的。

　　安全與隱私也帶來了極大的挑戰，尤其是在提供商業化云服務的開源或外部環境下。在云環境下，身份與接入管理將帶來完全不同于傳統模式的挑戰，因為這兩個因素的實現很可能需要跨越云中各種不同的網絡和管理區域。在國家標準與技術協會（NIST）的文件中也提到，單一的登錄接口和協議是標準制定不充分的一種表現。

　　在簡單分析了云的基本特性后，讓我們進入有關安全評估的話題。一直以來，只有國家機構被規定必須遵從FISMA（聯邦信息安全管理法案）的認證體系并進行相關審計，但這個局面將逐漸被打破。工業系統的互聯互通正在飛速發展，與此匹配的是，越來越多的非國家機構用戶（如企業）迫切需要一個標準化的目標來幫助他們保證自身區域的安全。

　　為了應對云計算帶來的諸如此類的挑戰，國家標準與技術協會（NIST）正在參與發表一部名為《機構間咨詢報告草案（draftinter-agencyadvisoryreport）》(NISTIR7328)的文檔，其中就歸入了對一種名為“安全評估提供商”（securityassessmentproviders）的需求，這是一類特殊的提供商，他將各種評估或評定作為自己所提供的服務。在這份草案中還指出，“安全評估并不是一份簡單的清單，也不僅僅是通過/不通過某些評測的結果參數，或是生成一份文檔來通過測評或審計。安全評估真正的意義是，它將幫助用戶深入知曉所屬機構的信息系統的強項和短板分別在什么位置，它是防御的真正意義上的底線。”當然，如果要制定一項安全決策，那么評估服務的質量將是十分關鍵的，同樣的，對于共享數據及計算資源的系統而言，安全評估也是關鍵，以上兩種情況適用于所有政府或非政府機構。

　　評估過程的關鍵是測試流程本身。在許多案例中，對安全性進行評估的各種測試事實上僅僅是為了生成一份通過或不通過的結果清單而已，對于云環境來說，這將是遠遠不夠的。同樣的，對于安全建設的中間期（指缺乏固定標準及策略的時期），這種對待評估測試的態度也很難支撐起安全決策的制定。而最有趣的問題則是，誰來決定一個有效的評估測試計劃由哪幾部分組成？

　　軟件發展方法學對安全性評估的測試流程進行了長期的相關實踐，并將這些流程從內部進行了關聯，因此能夠有效地對相關流程進行評估，從而能夠幫助用戶決定測試標準的結構組成，或決定在云計算這種動態環境下的測試計劃開發。NIST制定的風險管理體制中也提到評估性測試和測試計劃的開發是保證用戶能夠持續制定授權和安全決策的關鍵組成。在傳統網絡轉變到云模式的大背景下，我們發現對安全性測試和評估流程進行標準化正處在一個極好的歷史時機。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]